Nach Darstellung von Elastic Security Labs beginnt der Angriff mit manipulierten Anzeigen in Google. Wer nach Begriffen wie „LTS-Version von Node.js“ sucht, kann auf eine gefälschte Seite mit der Adresse „node-js[.]prentiva99[.]info“ geleitet werden. Die Anzeigen wurden unter dem verifizierten Namen „ВОЛОДИМИР ТЕРЕЩЕНКО“ geschaltet, der angeblich in der Ukraine ansässig ist.
Ob dieses Werbekonto tatsächlich dem Bedrohungsakteur gehört, nur als Tarnkonto diente oder mit einer gekauften Identität betrieben wurde, ist laut Elastic derzeit unklar. Google entfernte das Werbekonto samt den dazugehörigen Kampagnen am 14. Mai 2026.
Wer mit der präparierten Seite interagiert, erhält ein Batch-Skript, das auf Storj gehostet wird, einer dezentralen Open-Source-Cloudspeicher-Plattform. Elastic wertet den Missbrauch von Storj als weiteres Beispiel dafür, dass Angreifer gezielt legitime Dienste einsetzen, um reputationsbasierte Filter auf Domainebene zu umgehen.
Beim Ausführen des Skripts erscheint ein gefälschter Installationsassistent. Im Hintergrund lädt das Skript per PowerShell eine nächste Stufe von Storj nach: eine ausführbare Datei, die Elastic als OXLOADER bezeichnet. Anschließend wird sie mit „-Verb RunAs“ gestartet, um eine Abfrage der Windows-Benutzerkontensteuerung auszulösen.
Im weiteren Verlauf nutzt die Angriffskette DLL-Sideloading, um eine schädliche DLL zu starten. Diese entschlüsselt und startet schließlich die Nutzlast CastleStealer. Zusätzlich setzt OXLOADER laut Elastic auf Techniken wie Control-Flow-Flattening und gemischte boolesche Arithmetik, um statische Erkennung zu erschweren. Außerdem prüft der Loader, ob er in einer Sandbox-Umgebung läuft, und versucht eine Ausführung dort zu vermeiden.
In ihrer technischen Analyse schreiben Daniel Stepanic und Jia Yu Chan, der Loader verwende „mehrere Verschleierungsebenen, darunter abgeflachte Kontrollflüsse, undurchsichtige Prädikate und gemischte boolesche Arithmetik, selbstmodifizierende Entschlüsselungsroutinen und missbraucht den Windows-Bereich .reloc, um Shellcode vorzubereiten“.
CastleStealer selbst ist ein in .NET geschriebener Information Stealer. Kürzlich wurde die Malware bereits zusammen mit CastleLoader über einen ClickFix-artigen Köder verbreitet, der sich als kostenloses Bildbearbeitungswerkzeug ausgab. Diese Kampagne führt Elastic unter dem Namen BackgroundFix. CastleLoader wird einem Bedrohungscluster namens GrayBravo zugeschrieben.
Elastic stuft OXLOADER zwar noch als früh in seiner operativen Entwicklung ein, sieht aber bereits ein beachtliches Maß an technischer Ausarbeitung. Das Unternehmen verweist auf die Code-Verschleierung, Anti-VM-Maßnahmen, harmlos wirkenden Code zur Tarnung der Binärdateien und die ungewöhnlichen Staging-Techniken. Diese Investition zahle sich aus, so Elastic: Sie führe derzeit zu niedrigen Erkennungsraten bei statischen Prüfungen und in Detonationsläufen und verschaffe OXLOADER damit ein Zeitfenster, bevor er umfassender erkannt werde.